Come esportare i registri eventi di Windows (EVTX)

La risposta breve: apri Visualizzatore eventi, fai clic con il tasto destro sul registro necessario (per esempio Registri di Windows → Sicurezza), scegli Salva tutti gli eventi con nome…, e mantieni il formato .evtx. Da un prompt dei comandi elevato, la stessa operazione si riduce a una linea: wevtutil epl Security C:logssecurity.evtx. Non copiare i file da C:WindowsSystem32winevtLogs con Explorer. Il servizio Registro eventi li tiene aperti, quindi di solito ottieni un errore o nulla di utilizzabile.

EVTX vale il minuto in più rispetto a un’esportazione in testo. È il formato nativo, quindi ogni campo, gli ID dei record e i precisi timestamp UTC vengono conservati. Un SIEM non può restituirteli indietro, perché memorizza il testo reso. Prime Core ha 11.632 regole sigma per i registri degli eventi di Windows, mappate su 643 tecniche MITRE ATT&CK. Vanno dalla deduzione delle password (T1110) e servizi dannosi (T1543.003) agli attaccanti che cancellano i registri (T1070.001). Di seguito è spiegato come esportare i registri giusti, sanitizzarli e indagarli gratuitamente su LogTotal.

1-Minuto Tempo Medio per le Indagini, Gratuito

Riassunto

Percorso	Usalo quando	Cosa ti serve
Visualizzatore eventi → Salva tutti gli eventi con nome	Una macchina, uno o due registri, hai una sessione sul desktop	Rights amministrativi, o lettori di registri eventi per la maggior parte dei registri
wevtutil epl	Desideri un’esportazione filtrata, uno script o un server senza GUI	Un prompt elevato
wevtutil con /r: o un ciclo PowerShell	Diversi registri o una macchina remota	Diritti amministrativi sul target, oltre all’accesso remoto ai registri degli eventi tramite firewall

Prima di iniziare

Tre cose determinano se l’esportazione contiene ciò che speri.

Diritti. Gli amministratori possono esportare qualsiasi registro. I membri del gruppo locale Lettori Registro Eventi possono leggere la maggior parte dei registri senza pieno controllo amministrativo. Per il registro Sicurezza, un prompt elevato è la scelta sicura. I dettagli sono nella nostra [guida alle autorizzazioni dei registri eventi di Windows].

Politica di audit. Windows registra solo ciò che gli viene detto. La creazione di un processo (evento 4688) non è registrata di default. Anche quando lo è, la linea di comando viene registrata solo se una policy separata è abilitata. Verifica prima di cercare eventi mai scritti:

auditpol /get /category:*

Dimensione del registro e sovrascrittura. Ogni registro ha una dimensione massima. Per impostazione predefinita, Windows sovrascrive gli eventi più vecchi una volta che il registro è pieno e su un server o un controller di dominio occupato può significare solo poche ore di cronologia. Guarda cosa hai a che fare:

wevtutil gl Sicurezza

Guarda a maxSize e retention. Se l’attacco è avvenuto prima dell’evento più vecchio nel registro, non è lì. Controlla il tuo SIEM o gli eventi inoltrati invece.

E il promemoria usuale: i registri eventi sono pieni di nomi utente, nomi host e IP. LogTotal sanitizza i caricamenti, ma la tua politica di gestione dei dati si applica comunque.

Quali registri esportare

“I registri di Windows” sono alcune centinaia di canali su un sistema moderno. Per il lavoro di sicurezza, questi sono quelli che solitamente raccontano la storia:

Registro (nome del canale)	Cosa ti fornisce	Note
Sicurezza	Accessi (4624, 4625), cambiamenti dell’account (4720, 4728), registro cancellato (1102), creazione di processi (4688)	4688 solo se l’audit è attivo
Sistema	Nuovi servizi (7045), cambiamenti di servizio (7036), registro sistema cancellato (104)
Microsoft-Windows-Sysmon/Operational	Creazione di processi con hash e linee di comando, connessioni di rete e altro	Solo se Sysmon è installato
Microsoft-Windows-PowerShell/Operational	Registrazione a blocchi di script (4104), il codice reale eseguito	Solo se abilitata la registrazione a blocchi di script
Microsoft-Windows-Windows Defender/Operational	Rilevamenti (1116) e azioni intraprese (1117)
Microsoft-Windows-TaskScheduler/Operational	Nuove attività pianificate (106), un trucco preferito per la persistenza
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	Accesso sessione RDP, disconnessione, riconnessione (21, 24, 25)

Non sei sicuro di cosa abbia una macchina? wevtutil el elenca ogni canale. Condividilo tramite findstr /i sysmon (o qualsiasi cosa tu stia cercando) per controllarne uno specifico.

Opzione 1: Visualizzatore eventi

Ideale per una macchina e pochi registri.

1. Premi Win+R, digita eventvwr.msc, ed eseguilo come amministratore.
2. Trova il registro. Quelli classici sono sotto Registri di Windows. Tutto il resto è sotto Registri Applicazioni e Servizi → Microsoft → Windows. Sysmon, per esempio, è a …WindowsSysmonOperational.
3. Fai clic con il tasto destro sul registro e scegli Salva tutti gli eventi con nome…
4. Mantieni File di Eventi (*.evtx) come tipo e dai al file un nome che indichi cosa è, come dc-01_sicurezza_2026-10-20.evtx.
5. Windows poi chiede delle informazioni di visualizzazione. Questo determina se una cartella LocaleMetaData con testo del messaggio viene salvata accanto al file, che è utile quando qualcuno lo apre in Visualizzatore eventi su un’altra macchina. Per un caricamento LogTotal, il file .evtx è ciò che conta.

Hai bisogno solo di una parte del registro? Usa Filtra Registro Corrente… prima (ID eventi, intervallo di tempo), poi Salva File Registro Filtrato Come…. Il XML tab di quel filtro mostra la query XPath esatta che ha costruito. Copiala; la vorrai per wevtutil tra un minuto.

Opzione 2: wevtutil dalla riga di comando

wevtutil è incluso in ogni versione di Windows che è probabile incontrare. Funziona senza GUI e può filtrare mentre esporta. Eseguilo da un prompt elevato.

Tutto il registro:

mkdir C:logs
wevtutil epl Sicurezza C:logsdc-01_security.evtx

Solo le ultime 24 ore (il numero è in millisecondi):

wevtutil epl Sicurezza C:logsdc-01_security_24h.evtx /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]”

Una finestra esatta, in UTC:

wevtutil epl Sicurezza C:logsdc-01_security_1019.evtx /q:”*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z’ and @SystemTime<‘2026-10-20T00:00:00.000Z’]]]”

Solo accessi, riusciti e falliti:

wevtutil epl Sicurezza C:logsdc-01_accessi.evtx /q:”*[System[(EventID=4624 or EventID=4625)]]”

I nomi dei canali con spazi necessitano di virgolette:

wevtutil epl “Microsoft-Windows-Windows Defender/Operational” C:logsdefender.evtx

Se il file di destinazione esiste già, wevtutil si rifiuta di sovrascriverlo a meno che non aggiungi /ow:true. Scrivere XPath a mano diventa rapidamente noioso. Crea il filtro in Visualizzatore eventi e copia la query dal tab XML, come descritto sopra.

Su un controller di dominio, filtra. Un esportazione Sicurezza non filtrata da un DC occupato può arrivare a gigabyte, e caricherai la maggior parte per nulla.

Opzione 3: Diversi registri, o una macchina remota

Per il triage, di solito desideri lo stesso gruppetto di registri da ogni host. Questo snippet PowerShell li esporta in una cartella per macchina e salta qualsiasi canale che non esiste (nessun Sysmon, per esempio) invece di fallire:

$out = “C:logs$env:COMPUTERNAME”
New-Item -ItemType Directory -Force -Path $out | Out-Null

$logs = ‘Sicurezza’, ‘Sistema’,
        ‘Microsoft-Windows-Sysmon/Operational’,
        ‘Microsoft-Windows-PowerShell/Operational’,
        ‘Microsoft-Windows-Windows Defender/Operational’,
        ‘Microsoft-Windows-TaskScheduler/Operational’

foreach ($l in $logs) {
    $file = Join-Path $out (($l -replace ‘[\/ ]’, ‘_’) + ‘.evtx’)
    wevtutil epl $l $file /ow:true 2>$null
    if ($LASTEXITCODE -ne 0) { Write-Warning “Saltato: $l” }
}

Macchine remote. wevtutil accetta /r:<computer>, ma c’è un intoppo che le persone scoprono a caro prezzo: il file esportato viene scritto sul disco della macchina remota, non sul tuo. Pianifica di recuperarlo dopo:

wevtutil epl Sicurezza C:logssrv-01_security.evtx /r:srv-01
copy \srv-01C$logssrv-01_security.evtx .

Ciò richiede diritti amministrativi sul target e le regole del firewall Gestione Registro Eventi Remoto abilitate lì. Se quelle regole sono disattivate e preferisci non toccarle, il remoting PowerShell svolge lo stesso lavoro: esegui lo snippet sopra tramite Invoke-Command, poi recupera i file con Copy-Item -FromSession.

Carica e revisiona su LogTotal

LogTotal legge EVTX nativamente, quindi non c’è niente da convertire. È il servizio gratuito di SOC Prime per eseguire la logica di rilevamento su un file di registro senza configurare nulla.

1. Carica. Apri logtotal.com e trascina dentro il file .evtx. [PROVA: schermata di caricamento, limite dimensione, se diversi file possono essere inseriti contemporaneamente]
2. Revisione. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]

Come appare questo sui dati reali. Abbiamo usato [PROVA: sorgente campione, ad esempio un Security.evtx da una VM Windows temporanea dopo una catena di attacco simulata: accessi falliti,nuovo amministratore locale, un nuovo servizio, poi il registro delle Applicazioni cancellato]. Il file era [PROVA: N eventi, X MB]. LogTotal ha segnalato [PROVA: risultati effettivi, regole corrispondenti, tecniche ATT&CK].

Vuoi provarlo prima? [PROVA: link al file campione] è lo stesso file che abbiamo usato sopra.

Quando va storto

Sintomo	Causa probabile	Fix
Accesso negato	Il prompt non è elevato o l’account non ha diritti su quel registro	Esegui come amministratore
Il canale specificato non può essere trovato	Errore nel nome del canale, o il componente non è installato (Sysmon è quello solito)	Verifica con wevtutil el | findstr /i <name>
wevtutil si lamenta che il file esiste	Non sovrascrive di default	Aggiungi /ow:true, o scegli un nuovo nome file
La query specificata non è valida	Quotatura o sintassi XPath	Crea il filtro in Visualizzatore Eventi e copialo dal tab XML
Copiare da winevtLogs fallisce con “in uso da un altro processo”	Il servizio Registro Eventi tiene aperti i file live	Esporta con Visualizzatore eventi o wevtutil invece
Nessun evento 4625 o 4688	Quella categoria non è audita	Controlla auditpol /get /category:*; questo risolve eventi futuri, non quelli passati
Il log copre solo poche ore	Il registro è pieno e sta sovrascrivendo	Controlla wevtutil gl Sicurezza; guarda per file Archive-Security-*.evtx se l’archiviazione è attiva
Il server RPC è non disponibile con /r:	Le regole del firewall Gestione Registro Eventi Remoto sono disattivate	Abilitalo sul target, o usa il remoting PowerShell
Esportazione remota “riuscita”, ma non c’è file	/r: scrive il file sulla macchina remota	Guarda sul disco del target, ad es. \srv-01C$logs